Paweł Goleń, blog

W aplikacjach sieciowych często zamiast "czystych" linków, wykorzystywany jest JavaScript. Po kliknięciu na obiekt (link, obrazek, paragraf), wykonuje się pewna akcja, na przykład otwiera się nowa strona w nowym oknie przeglądarki. Czasami adres tej nowej strony budowany jest na podstawie parametrów przesłanych przez użytkownika. Jeśli wartość wstawiana jest "wprost", jest oczywiście XSS. Zamiast tego znaki specjalne powinny być kodowane z wykorzystaniem URL Encoding. Tylko jest jedna, mała niespodzianka.

Tytuł tego wpisu to zapożyczenie z piosenki KNŻ, dobrze on ilustruje to, o czym chcę tym razem napisać. No właśnie? Co się stanie (a przynajmniej powinno się stać) w przypadku, gdy będzie miał miejsce "incydent", czyli mówiąc wprost - gdy ktoś się włamie? Niestety, nadal często stosowane jest podejście na zasadzie "posprzątać i udawać, że nic się nie stało". Problem w tym, że tak naprawdę to jest błędne koło - skoro ktoś się włamał, to musi istnieć podatność, która na to pozwala. Usunięcie skutków ataku nie usuwa podatności, a więc atak może się powtórzyć...

Eksperyment z usuwaniem danych na NTFS raz jeszcze.

Skusiliśmy się z Moją Ulubioną Czarownicą na wyjazd w trakcie tego długiego weekendu. Wyjazd (w sensie jazdy) rzeczywiście był długi, choć na szczęście znajomość objazdów i GPS swoje zrobiło. Natomiast ilość buractwa (bo ciężko to inaczej określić) na drodze jest przerażająca. Naprawdę aż dziw, że w trakcie długich weekendów ginie tak mało ludzi. Szkoda tylko, że często giną niewinni, którzy mieli pecha spotkać takiego buraka na drodze...

Chyba założę oddzielną kategorię na prasowe bzdury. Tym razem mrożący krew w żyłach tekst Systemy e-banków do wymiany, który jest naturalną konsekwencją wcześniejszego tekstu odnośnie problemu w BZ WBK. W nowym tekście dowiadujemy się między innymi, że:

Mam nadzieję, że:

• autorka artykułu nie zrozumiała problemu w BZ WBK i zadała "radosne" pytanie,
• odpowiadający nie do końca zrozumiał o co jest pytany,
• autorka artykułu nie zrozumiała odpowiedzi i przekręciła cytat,

A jeśli tak nie jest to... Mając na uwadze, że problem w BZ WBK wynikał z radosnej obsługi no-cache przez przeglądarki Firefox i Opera (w IE problemu NIE było), podana cena jest co najmniej dziwna. No chyba, że chodzi o wykupienie firm produkujących te przeglądarki i wypuszczenie poprawionej wersji...